Σύμφωνα με τον Tony Anscombe, τον επικεφαλής για την ενημέρωση κοινού σε θέματα ασφάλειας στην παγκόσμια εταιρεία κυβερνοασφάλειας ESET, η απάντηση στο ερώτημα είναι: “μάλλον ναι".
Στο άρθρο του, ο TonyAnscombe από την ESET, μιλά για το ποιος πληρώνει τελικά τα λύτρα όταν κυβερνοεγκληματίες που έκλεψαν ή μπλόκαραν πολύτιμα στοιχεία και δεδομένα από τα συστήματα των επιχειρήσεων, τις εκβιάζουν και τελικά οι επιχειρήσεις ενδίδουν και πληρώνουν το ποσό.
Αυτές οι επιθέσεις λέγονται επιθέσεις τύπου ransomware όπου “ransom” σημαίνει “λύτρα”.
Η διαμάχη σχετικά με τις πληρωμές λύτρων για επιθέσεις τύπου ransomware συνεχίζεται, πράγμα που, φυσικά, είναι θετικό - γιατί με τη συζήτηση και τις διαφορετικές απόψεις θα προκύψει ένα πιο ασφαλές συμπέρασμα.
Φανταστείτε όμως μόνο για μια στιγμή, ότι πηγαίνετε στο κατάστημα για να αγοράσετε κάτι για 100 ευρώ, λέει ο Anscombe. Ανάλογα με το πού βρίσκεστε στον κόσμο, ο φόρος επί των πωλήσεων μπορεί να χρειαστεί να προστεθεί στο ταμείο και η απόδειξη αγοράς σας θα εμφανίζει 100 ευρώ για τα αγαθά και ίσως συν 10 ευρώ για τον φόρο, σύνολο 110 ευρώ.
Η εταιρεία που πουλάει το προϊόν πρέπει να έχει κέρδος και να καλύψει τα έξοδά της, τα οποία μπορεί να περιλαμβάνουν αμοιβές προσωπικού, έξοδα για τις εγκαταστάσεις, την ασφάλιση, τη μεταφορά και πολλά άλλα που σχετίζονται με τη λειτουργία της.
Όταν, όμως, μια εταιρεία έχει πέσει θύμα επίθεσης ransomware και έχει αποφασίσει να πληρώσει λύτρα στους κυβερνοεγκληματίες για να ανακτήσει την πρόσβαση στα συστήματα της ή για να μη διαρρεύσουν τα δεδομένα δημόσια ή για να μην πουληθούν τα δεδομένων της στο darkweb, αυτό θεωρείται κόστος επιχειρηματικής δραστηριότητας και είναι ένα κόστος που θα πρέπει να ενσωματωθεί στην τελική τιμή του προϊόντος ή των υπηρεσιών της που πληρώνεται από τους πελάτες.
Τι θα σκεφτόσασταν, λοιπόν, εάν στην απόδειξη για την αγορά που κάνατε βλέπατε ότι η εταιρεία χρηματοδοτεί κατά κάποιον τρόπο το κυβερνοέγκλημα με τον εξής τρόπο: προϊόν 100 ευρώ, φόρος 10 ευρώ, δωρεά στους κυβερνοεγκληματίες 2,50 ευρώ; “Υποψιάζομαι, και ελπίζω, ότι θα αμφισβητούσατε τη χρέωση και θα αντιδρούσατε. Εγώ, πάντως, θα το έκανα.” λέει ο TonyAnscombe της παγκόσμιας εταιρείας κυβερνοασφάλειας.
Βέβαια, πιθανά οι εταιρείες να απαντούσαν: "Δεν πειράζει, είμαστε ασφαλισμένοι για κινδύνους κυβερνοασφάλειας και η ασφαλιστική μας θα πληρώσει το μεγαλύτερο μέρος των λύτρων". Αυτό μπορεί κάλλιστα να ισχύει, αλλά η εταιρεία πρέπει να πληρώσει την ασφαλιστική εταιρεία που εργάζεται με βάση την πιθανότητα κινδύνου όταν χρεώνει ασφάλιστρο.
Εάν, δηλαδή, οι ασφαλιστικές εταιρείες ασφαλίζουν 10 εταιρείες και από αυτές η μία στις 10 πέφτει θύμα επίθεσης ransomware, τότε η απόδειξη από μία από αυτές τις 10 εταιρείες θα δείχνει τη συναλλαγή των 100 ευρώ, 10 ευρώ φόρο, συν μια δωρεά 2,5 ευρώ στους κυβερνοεγκληματίες, που καταβλήθηκε μέσω της ασφαλιστικής εταιρείας. Τα χρήματα για την πληρωμή των λύτρων προέρχονται τελικά από εσάς, τον καταναλωτή.
Σύμφωνα με άρθρο του TheHill, απαντώντας σε ερώτηση της γερουσιαστή MazieHirono των ΗΠΑ, ο βοηθός διευθυντή στο τμήμα κυβερνοεγκλήματος του FBI, BryanVorndran, δήλωσε ότι "η γνώμη μας είναι ότι η λύση δεν είναι να απαγορεύσουμε στις επιχειρήσεις που πέφτουν θύμα ransomware να πληρώνουν τα λύτρα". Γιατί πιθανά, εκείνες θα πληρώσουν τελικά τα λύτρα κρυφά χωρίς να αναφέρουν στις αρχές το γεγονός της κυβερνοεπίθεσης. Προφανώς για αυτό και η Επιτροπή Δικαιοσύνης της Γερουσίας φαίνεται να προτείνει ως λύση το να ενθαρρύνονται οι επιχειρήσεις να αναφέρουν τέτοιες επιθέσεις στις Αρχές και όχι να τους επιβληθεί η απαγόρευση της πληρωμής των λύτρων.
Υπάρχουν πολλά ερωτήματα γύρω από το συγκεκριμένο θέμα, αλλά ένα είναι το βέβαιο: η συζήτηση σχετικά με το αν θα πρέπει να πληρώνουμε ή όχι τις απαιτήσεις για λύτρα για επιθέσεις τύπου ransomware σε καμία περίπτωση δεν έχει ολοκληρωθεί.
Και μέχρι τότε, εμείς οι καταναλωτές, είναι πιθανό να δούμε τις τιμές των προϊόντων και των υπηρεσιών να αυξάνονται προκειμένου οι εταιρείες να συνεχίσουν να πληρώνουν λύτρα στους εκβιαστές, είτε απευθείας είτε μέσω των ασφαλιστικών εταιρειών τους.
“Σας αφήνω με τα λόγια της Μάργκαρετ Θάτσερ, στις 14 Οκτωβρίου 1988” καταλήγει ο ειδικός της ESET: "Όταν υποκύπτετε στις απαιτήσεις των τρομοκρατών, γεννάτε περισσότερη τρομοκρατία".
Εδώ και 30 χρόνια, η αναπτύσσει λογισμικό και υπηρεσίες κορυφαίου επιπέδου για την ασφάλεια επιχειρήσεων και καταναλωτών σε όλο τον κόσμο. Οι λύσεις της ESET, που καλύπτουν ένα ευρύ φάσμα, από την προστασία endpoint και mobile, έως την κρυπτογράφηση και την πιστοποίηση διπλού παράγοντα, διακρίνονται για τις υψηλές επιδόσεις και την ευκολία στη χρήση, προσφέροντας σε καταναλωτές και επιχειρήσεις την ευκαιρία να απολαμβάνουν με ξεγνοιασιά όλες τις δυνατότητες της τεχνολογίας τους. Η ESET προστατεύει και παρακολουθεί όλο το 24ωρο αθόρυβα, προσαρμόζοντας και ανανεώνοντας τις άμυνες της σε πραγματικό χρόνο, ώστε οι χρήστες να είναι ασφαλείς και οι επιχειρήσεις να λειτουργούν αδιάκοπα. Οι απειλές μεταβάλλονται διαρκώς και απαιτούν μια εταιρεία IT ασφάλειας που μπορεί να εξελίσσεται. Διαθέτει παγκοσμίως κέντρα R&D που την υποστηρίζουν, και αποτελεί την πρώτη εταιρεία ασφάλειας IT που έχει φτάσει τον αριθμό των 100 βραβείων Virus Bulletin VB100, χωρίς να έχει χάσει ούτε ένα «in-the-wild» ιό από το 2003. Η ESET διαθέτει τοπικά γραφεία σε Αθήνα και Λευκωσία, καθώς κι ένα εκτεταμένο δίκτυο συνεργατών σε Ελλάδα και Κύπρο. Για περισσότερες πληροφορίες επισκεφθείτε το.
| |